必须用html/template渲染HTML，因其上下文感知自动转义可防XSS；text/template不转义、不校验，混用必然导致XSS或DOM异常。
用 html/template 而不是 text/template 渲染 HTML 页面，是唯一安全且符合生产要求的做法。
为什么不能用 text/template 输出 HTML
它不做任何转义，用户输入的 <script>alert(1)</script> 会原样输出到页面，直接触发 XSS。即使你手动调用 html.EscapeString，也只作用于字符串整体，无法覆盖属性值、JS上下文、URL等不同 HTML 上下文中的转义规则。
-
html/template是上下文感知的：在<a href="https://www.php.cn/link/8627a5992a7f67f8c1e3db85cf9c23eb">...</a>中自动做 URL 转义，在<div>{{.Content}}</div>中做 HTML 实体转义，在<script>{{.JS}}</script>中做 JS 字符串转义 - 一旦混用
text/template渲染 HTML，等于主动放弃安全防线，没有例外 - 哪怕只是生成一段纯文本再拼进 HTML，也应统一走
html/template流程，避免上下文错位
{{.FieldName}} 报错“can't evaluate field”怎么办
这是最常遇到的运行时 panic，根本原因是字段未导出（首字母小写）或路径不存在。Go 模板只能访问导出字段（即首字母大写的字段），且不支持嵌套结构体中未显式导出的内嵌字段。
- 检查结构体定义：
type User struct { Name string }✅；type User struct { name string }❌（小写name不可见） - 嵌套结构体要逐层导出：
type Profile struct { Info InfoData }中，若InfoData的字段是小写，{{.Info.Name}}仍会失败 - 传入
map[string]interface{}时，key 必须是字符串，且模板中引用需匹配大小写：{{.username}}对应m["username"]，而非m["Username"] - 使用
{{with .User}}{{.Name}}{{end}}前，先确认.User不为nil，否则 panic
如何安全地插入已转义的 HTML 片段
有时你确实需要渲染一段可信的 HTML（比如 CMS 后台编辑器存的内容），但 html/template 默认全部转义，必须显式声明信任。
立即学习“go语言免费学习笔记（深入）”；
- 用
{{.HTMLContent | safeHTML}}，其中.HTMLContent是类型为template.HTML的变量 - 不能直接传
string然后加| safeHTML—— 这个函数只接受template.HTML类型，否则无效 - 构造方式必须是：
data := struct{ HTMLContent template.HTML }{ template.HTML("<b>hello</b>") } - 切勿对用户输入调用
template.HTML，这等同于绕过所有防护
ParseGlob 和 ParseFiles 的实际差异
两者都用于批量加载文件，但行为细节影响开发体验和错误定位。
-
ParseFiles("header.html", "footer.html")：按参数顺序依次解析，任一文件不存在或语法错误，立刻返回该文件的错误位置（行号准确） -
ParseGlob("templates/*.html")：通配符匹配后排序加载，错误信息只报“in file xxx”，不带具体行号；若多个文件有错，只返回第一个 - 调试阶段建议用
ParseFiles显式列出关键模板，便于快速定位问题；上线后可切回ParseGlob简化维护 - 注意：
ParseGlob匹配结果依赖文件系统排序，不同 OS 可能顺序不同，不要依赖define/template的执行顺序
真正容易被忽略的是上下文转义的不可见性——它不报错、不警告，只默默改掉你的输出。一旦漏掉一个 template.HTML 类型转换，或误用 text/template，漏洞就已埋下，而日志里什么都不会显示。
